В эксплорере выплывает окно с сообщением

[gmalin]

В ИнтернетЭксплорере вылезает окно с сообщением "Вы посетили такой-то порносайт и вот ваши последние просмотренные ролики. если вы хотите чтобы это окно не появлялось то пошлите смс по номеру ХХХ". висит 30 секунд примерно и эксплорер закрывается.
Антивирус ESET smart securiti.
До этого удалил примерно 500 файлов в папке system32\drw**.tmp

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\System32\WinNt32.dll
 C:\WINDOWS\System32\WLCtrl32.dll
C:\WINDOWS\System32\WinDat.cab
C:\WINDOWS\System32\WinNt32.dl_
C:\WINDOWS\System32\WinNt32.bak
C:\WINDOWS\System32\Drivers\Tyd84.sys

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ldr.exe
O20 - Winlogon Notify: WinNt32 - WinNt32.dll (file missing)
O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Tyd84');
 DeleteService('Msf16');
 DeleteService('AeLookupSvcs');
 DelBHO('{1094613F-84B6-4131-AEC1-71DF88291044}');
 QuarantineFile('C:\WINDOWS\system32\pllib.dll','');
 QuarantineFile('C:\WINDOWS\system32\ldr.exe','');
 QuarantineFile('C:\WINDOWS\System32\WinNt32.dll','');
 QuarantineFile('C:\WINDOWS\System32\WLCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Tyd84.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Msf16.sys','');
 QuarantineFile('C:\WINDOWS\system32\SVCH0ST.EXE','');
 QuarantineFile('c:\windows\system32\inmapi.exe','');
 DeleteFile('c:\windows\system32\inmapi.exe');
 DeleteFile('C:\WINDOWS\system32\SVCH0ST.EXE');
 DeleteFile('C:\WINDOWS\System32\Drivers\Msf16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Tyd84.sys');
 DeleteFile('C:\WINDOWS\System32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\WinNt32.dll');
 DeleteFile('C:\WINDOWS\system32\ldr.exe');
 DeleteFile('C:\WINDOWS\system32\pllib.dll');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Tyd84');
 BC_DeleteSvc('Msf16');
 BC_DeleteSvc('AeLookupSvcs');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[gmalin]

карантин отправил. вроде больше не вылезает сообщение и эксплорер работает хорошо.
вот логи.

[Rene-gad]

Если проблем нет - поставьте Сервис Пак 3, возможно потребуется активация системы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 18
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\inmapi.exe - Trojan-Clicker.Win32.Delf.asp (DrWEB: Trojan.Click.19884)
  2. c:\\windows\\system32\\pllib.dll - Trojan-Ransom.Win32.Hexzone.es (DrWEB: Trojan.Blackmailer.5)